SMBCコンシューマーファイナンスに不正アクセス、最大32万人分の情報が漏えい

最大32万人分の個人情報が漏えい、年収や運転免許証番号も含む

SMBCコンシューマーファイナンスは、銀行が貸すカードローンなどについて返済を保証する会社です。提携先は地方銀行や信用金庫、ネット銀行などにわたります。

2026年11月5日の発表によると、この保証業務で使うシステムが第三者に不正アクセスされ、外部へデータが送信されたとのこと。そして、提携先の銀行などでカードローンを借りた人や申し込んだ人の氏名・住所・年収・運転免許証番号などが、そのデータに含まれていました。

漏えいの概要（SMBCコンシューマーファイナンスの発表より）

対象	内容
漏えいした人数	最大32万118人
漏えいした情報	氏名・性別・生年月日・住所・電話番号・メールアドレス・運転免許証番号・勤務先情報・契約情報
含まれない情報	運転免許証などの本人確認書類の画像
原因	保証業務で使うシステムへの不正アクセス
現在の状況	11月2日にアクセスを遮断し、保証システムを一時停止中

氏名や連絡先に加え、勤務先や保証額も漏えい

SMBCコンシューマーファイナンスの発表によると、漏えいしたのは氏名や連絡先だけではありません。さらに、勤務先の電話番号や年収に加え、保証額や顧客番号といった契約の情報まで外部へ送信されました。 漏えいした情報は本人と勤務先と契約に関する次の3種類です。

• 本人に関わる情報：氏名・住所・生年月日・性別・メールアドレス・携帯電話番号・自宅電話番号・運転免許証番号
• 勤務先情報：勤務先の電話番号や年収など
• 契約情報：保証額・保証開始日・顧客番号・金融機関コードなど

SMBCコンシューマーファイナンスは、運転免許証などの本人確認書類の画像は漏えいした情報に含まれないと公表しました。ドコモSMTBネット銀行や北洋銀行も、画像は含まれないとしています。

11月2日に不正アクセスを検知し、同日中に遮断

SMBCコンシューマーファイナンスは11月2日に不正アクセスを検知し、被害拡大を防ぐため同日中に保証業務で使うシステムへのアクセスを遮断しています。ところが、他に不正アクセスが無いかを調べていく途中で、すでにデータが外部へ送信されていたことがわかりました。

SMBCコンシューマーファイナンスは検知から3日後に発表しましたが、侵入手口は明らかにしていません。専門家や関係各所と連携して、原因と影響範囲を調査中とのこと。国内企業が公表した漏えいの件数と原因は、時系列一覧にまとめています。

提携銀行が相次いでお知らせを公表し、一部は申し込みを停止

SMBCコンシューマーファイナンスの発表を受けて、提携する銀行も11月5日から相次いでお知らせを公表しています。11月6日朝の時点で影響を公表した提携先は少なくとも14行あると、セキュリティ対策Labは報じました。ただし、公表した人数や申し込みの受付状況は、ローンを借りている銀行によって異なります。

提携銀行の公表内容（各行が11月5日に公表したお知らせより）

銀行	対象のローン	公表された人数	申し込み
ドコモSMTBネット銀行	カードローン	最大12万2,635人	お知らせでは触れていない
第四北越銀行	べんリーナ365	最大1,307人	2020年10月1日から新規受付を停止
北洋銀行	スーパーアルカ	公表なし	新規受付と限度額の増額受付を停止
中国銀行	コレカ・フリーローン	公表なし	Web申込の受付を停止
福岡銀行	カードローンなど	調査中	通常どおり受け付け

ドコモSMTBネット銀行の対象は最大12万2,635人

ドコモSMTBネット銀行は、カードローンを利用する顧客のうち最大12万2,635人の情報が漏えいしたと公表しました。漏えいした情報の中身はSMBCコンシューマーファイナンスの発表と同じです。自社の銀行システムへの不正アクセスは見つかっておらず、他の銀行サービスにも影響は無いとのこと。

一方、第四北越銀行の対象は最大1,307人で、銀行によって人数は大きく異なります。 第四北越銀行で対象になったのは、2020年9月30日以前に個人向けローン「べんリーナ365」を申し込んだ一部の顧客で、このローンは2020年10月1日から新規受付を停止しています。

北洋銀行と中国銀行は受付を停止、福岡銀行は継続

北洋銀行はカードローン「スーパーアルカ」について、保証会社のシステムが安全だとわかるまで新規受付と限度額の増額受付を停止しました。中国銀行も、カードローン「コレカ」とフリーローンについてWeb申込を受け付けておらず、再開する日はホームページで改めて公表するとしています。

一方、福岡銀行は申し込みを通常どおり受け付けていますが、審査結果の連絡には普段より時間がかかる場合があるとしています。 福岡銀行はSMBCコンシューマーファイナンスが保証するカードローンなどを利用した人や申し込んだ人が対象になる可能性があるとして、該当者と人数を調査中です。

対象者には個別に連絡、二次被害はまだ見つかっていない

SMBCコンシューマーファイナンスによると、漏えいした情報が悪用された二次被害は、11月5日時点で見つかっていないとのこと。今後、対象となる人へ個別に連絡が届く予定です。ただし、この個別連絡に便乗してSMBCコンシューマーファイナンスや銀行を装う電話・メール・SMSが届く恐れがあるので、メッセージ内のURLにはアクセスしないようにしましょう。

対象者への連絡と問い合わせ先（SMBCコンシューマーファイナンスの発表より）

対象	内容
連絡の方法	対象者を特定したうえで、提携先と相談してメールやSMSなどで個別に連絡
二次被害	11月5日時点で見つかっていない
専用窓口	平日9〜18時・電話03-5677-9228
保証システム	一時停止し、安全かどうかを調べてメンテナンスを実施中

対象となる人には、メールやSMSで個別に連絡が届く

SMBCコンシューマーファイナンスは誰の情報が漏えいしたかを特定したうえで、提携先と相談してメールやSMSなどで個別に連絡するとしています。中国銀行のように、自行から対象者へ連絡するとしている銀行もあります。

SMBCコンシューマーファイナンスは同時に、自社や金融機関を装う不審な電話・メール・SMSが届く可能性があるとして、気をつけるよう呼びかけました。そのため、身に覚えのない連絡を受けたら記載のURLにはアクセスせず、SMBCコンシューマーファイナンスの専用窓口か警察へ相談するのが確実です。 専用窓口の電話番号は03-5677-9228で、平日9〜18時に受け付けています。

保証システムは一時停止中で、再開時期は公表されていない

SMBCコンシューマーファイナンスは、利用客の安全を最優先にして保証システムを一時停止し、安全かどうかを調べて必要なメンテナンスを継続しています。その結果、保証システムを使うローンの申し込みや審査に、遅れが出る場合があります。

北洋銀行と中国銀行も、保証会社のシステムが安全だとわかるまで受付を停止するとしています。保証システムを再開する時期について、SMBCコンシューマーファイナンスは触れていません。

カードローンの借り手と金融機関、それぞれの対策

今回の漏えいでは、カードローンを借りた人や申し込んだ人に加えて、保証会社と申込データを共有する金融機関にも備えが必要です。そのため、借りている人は銀行や保証会社を装う連絡のリンクにアクセスせず、申込フォームを持つ金融機関は外部公開するシステムと預かるデータを点検しておきましょう。

立場ごとの備え（IPAの資料とSMBCコンシューマーファイナンスの発表より）

立場	備え
カードローンを借りている人・申し込んだ人	突然届くメールやSMSのリンクにはアクセスせず、銀行の公式サイトから問い合わせる
申込フォームを持つ金融機関	外部公開するシステムのログを点検し、不要な顧客データは持たない

カードローンを借りている人は、銀行や保証会社を装う連絡を疑う

IPA（情報処理推進機構）は漏えいした氏名や電話番号がリスト化されて販売され、なりすましメールやフィッシングSMS、詐欺電話に使われる可能性を指摘しています。なりすましメールの文面に、漏えいした本人の氏名が書かれている場合もあるとのこと。このため、突然届いたメールやSMSのリンクにはアクセスせず、本物かどうか知りたいときはご自身で銀行の公式サイトにアクセスして問い合わせましょう。

突然届くメールやSMSは詐欺と考えて削除

IPAは突然届くメールやSMSを基本的にすべて詐欺と考え、無視して削除するよう勧めています。対象者への連絡もメールやSMSで届く予定なので、メッセージのリンクからは操作せず、公式サイトに同じ内容のお知らせがあるかを調べるのが確実です。

リンク先のサイトで暗証番号や口座番号を入力しない

IPAはメッセージのURLからアクセスしたサイトで情報を入力したり、アプリをインストールしたりしないよう呼びかけています。北洋銀行も、不審なメールやSMSには暗証番号や口座情報を入力・回答しないよう求めました。本物そっくりのページが開いても、暗証番号や口座番号と運転免許証番号は入力せずに、そのままブラウザを閉じましょう。

連絡が本物か分からないときは銀行の公式サイトから問い合わせる

連絡に記載の電話番号やURLは使わず、ご自身で銀行や保証会社の公式サイトにアクセスし、公式サイトにある窓口へ問い合わせると確実です。メールが本物かどうかは、正規のサイトから問い合わせれば確かめることができます。

IPAは運転免許証などの本人確認書類の画像が漏えいした場合には、なりすましの契約を防ぐために信用情報機関へ本人申告することを勧めています。今回は画像が含まれていないとSMBCコンシューマーファイナンスは発表していますが、不安が残る人はこの方法も知っておくといいでしょう。

金融機関は、申込フォームと預かるデータを見直す

SMBCコンシューマーファイナンスは侵入経路を明らかにしていませんが、一部の提携先にカードローンのWeb申込フォームを提供しています。この事例を踏まえ、申込フォームなど外部公開するシステムのログを確認し、審査が終わった申込者の情報まで持ち続けていないかを見直しておきましょう。

外部公開するシステムのログをさかのぼって点検

IPAは2026年10月9日に、公表された事例の傾向から外部公開しているアプリケーションやサービスの侵害が漏えいの起点になっていると分析しました。申込フォームのようにネットから誰でも開けるシステムは、直近1か月、続いて3か月と範囲を広げながら、ログに普段と異なる動きが無いかを点検しておきましょう。エラーの量や平時との差が、異常を見分ける目安になります。

不要な顧客データは持たない

IPAは「不要な情報は持たない」という基本原則を掲げ、保有する情報資産を正確に把握したうえで必要最小限にするよう事業者に呼びかけました。北洋銀行のお知らせによると、対象は利用中の顧客だけでなく申し込んだだけの人にも及んでいるとのこと。金融機関は保存する期間を商品ごとに決定し、期間を過ぎた分は削除しておきましょう。

保証会社など委託先と連携して対策に取り組む

今回は保証会社から対象者へ連絡する銀行と、中国銀行のように自行から連絡する銀行がありました。自社システムに限らず、取引先や委託先も含めて対策に取り組む必要があります。顧客情報を保証会社と共有している金融機関は、委託先で漏えいが発生したときに誰がどの顧客へ連絡するかまで、前もって取り決めておきましょう。